EU AI Act im Handwerk: Was ab jetzt gilt

Eine Montagefirma mit 18 Leuten im Weinviertel. Auf der Website läuft seit letztem Herbst ein Chatbot, der Anfragen entgegennimmt. Die Angebotstexte schreibt der Chef seit einem Jahr mit ChatGPT vor — er liest drüber, korrigiert die Preise und schickt sie raus. Für Instagram macht die Bürokraft ab und zu ein Bild mit einem KI-Werkzeug.

Im Mai stand in jeder zweiten Schlagzeile, die EU habe ihre KI-Regeln entschärft und verschoben. Also: erledigt bis 2027? Nein. Für diesen Betrieb ist seit dem 2. August 2026 etwas fällig — nicht viel, aber es ist fällig. Und es ist nicht das, was verschoben wurde.

Verschoben wurde das, was du gar nicht hast

Der Digital Omnibus hat den AI Act tatsächlich entschärft. Das Europäische Parlament hat am 16. Juni 2026 in erster Lesung zugestimmt, der Rat hat am 29. Juni 2026 final bestätigt. Die Änderungsverordnung (EU) 2026/1744 ist seit 27. Juli 2026 in Kraft.

Verschoben wurden die Pflichten für Hochrisiko-Systeme: Anhang III von August 2026 auf den 2. Dezember 2027, Anhang I auf den 2. August 2028. Hochrisiko sind zum Beispiel KI-Systeme, die Bewerbungen vorsortieren oder über Kreditvergaben mitentscheiden. Ein Tischler, ein Malerbetrieb, eine Montagefirma haben so etwas in aller Regel nicht.

Nicht verschoben wurde Artikel 50 — die Transparenzpflichten. Die gelten seit 2. August 2026, unverändert. Und die betreffen fast jeden Betrieb, der KI so einsetzt, dass ein Kunde etwas davon mitbekommt. Genau das ist die Auflösung: Die Erleichterung galt dem Teil, den kleine Betriebe nie hatten. Der Teil, der sie betrifft, kam pünktlich.

Was der AI Act überhaupt ist

Der AI Act ist eine EU-Verordnung. Das heißt: Sie gilt direkt, ohne dass Österreich ein eigenes Gesetz beschließen muss. Sie gilt auch unabhängig von der Betriebsgröße — es gibt keine Freigrenze für Kleinbetriebe.

Die Verordnung sortiert KI nicht nach Technik, sondern nach Risiko. Vier Stufen, von oben nach unten:

• **Verboten** — etwa Systeme, die Menschen manipulieren oder sozial bewerten. Gilt bereits seit 2. Februar 2025.
• **Hochrisiko** — KI in sensiblen Bereichen: Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur. Hier hängt die schwere Pflichtenlast. Genau dieser Teil ist auf Dezember 2027 verschoben.
• **Transparenzpflichtig** — KI, die mit Menschen spricht oder Inhalte erzeugt. Hier landen die allermeisten Handwerksbetriebe.
• **Minimales Risiko** — alles andere. Keine besonderen Pflichten.

Dazu kommt eine Rolle, die viele übersehen: Die Verordnung unterscheidet zwischen **Anbieter** und **Betreiber**. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt — OpenAI zum Beispiel. Betreiber ist, wer es im eigenen Betrieb einsetzt. Für deinen Betrieb gilt fast immer: Du bist Betreiber, nicht Anbieter. Das ist die deutlich leichtere Rolle.

Diese Unterscheidung ist der Grund, warum der AI Act für einen Handwerksbetrieb sehr viel weniger bedeutet, als die Länge der Verordnung vermuten lässt. Der Großteil der Pflichten — technische Dokumentation, Risikomanagementsystem, Konformitätsbewertung, Meldung schwerwiegender Vorfälle — liegt beim Anbieter. Wenn du ein fertiges Werkzeug einkaufst, hat der Anbieter diese Arbeit bereits gemacht. Deine Pflichten beginnen dort, wo das Werkzeug auf deine Kunden trifft.

Ein Punkt noch, weil er in der Praxis für Verwirrung sorgt: Es spielt keine Rolle, ob du das KI-Werkzeug bezahlst oder die Gratisversion nutzt, und es spielt auch keine Rolle, ob es als „KI“ beworben wird. Entscheidend ist, was das System tut. Ein Textbaustein-Generator in deiner Bürosoftware kann ein KI-System im Sinne der Verordnung sein, auch wenn nirgends KI draufsteht. Im Zweifel: in die Liste aufnehmen und ansehen.

Eine Pflicht gilt allerdings schon seit 2. Februar 2025 und wird regelmäßig übersehen: **KI-Kompetenz** nach Artikel 4. Wer KI im Betrieb einsetzt, muss dafür sorgen, dass die Leute, die damit arbeiten, sie auch verstehen. Die WKO legt das als nachweisbare Schulung aus. Für einen Betrieb mit zwei Leuten am KI-Tool ist das kein Zertifikatslehrgang, aber es sollte dokumentiert sein, dass eine Einweisung stattgefunden hat.

Die vier Transparenzpflichten aus Artikel 50

Artikel 50 hat vier Absätze mit Pflichten. Zwei richten sich an Anbieter, zwei an Betreiber — also an dich.

**Absatz 1 — KI, die mit Menschen spricht.** Wer ein System einsetzt, das direkt mit Personen interagiert, muss offenlegen, dass es KI ist. Ausnahme: wenn es ohnehin offensichtlich ist. Im Alltag heißt das: Der Chatbot auf der Website braucht einen Hinweis. Der KI-Telefonassistent, der abends die Anrufe annimmt, sagt zu Beginn, dass er ein digitaler Assistent ist. Das ist keine große Sache — ein Satz am Anfang des Gesprächs reicht.

**Absatz 2 — maschinenlesbare Kennzeichnung erzeugter Inhalte.** Diese Pflicht trifft den Anbieter, nicht dich: Wer ein System anbietet, das Texte, Bilder, Audio oder Video erzeugt, muss die Ausgabe maschinenlesbar als künstlich erzeugt markieren. Um diese technische Markierung kümmert sich das Werkzeug, das du verwendest — nicht dein Betrieb. Praktisch heißt das: Wenn du mit einem Bildgenerator ein Motiv für einen Social-Media-Post erzeugst, hängt der Anbieter eine unsichtbare Markierung in die Datei. Du musst dafür nichts tun. Was du nicht tun darfst: diese Markierung bewusst entfernen.

**Absatz 3 — Emotionserkennung und biometrische Kategorisierung.** Wer solche Systeme betreibt, muss die betroffenen Personen informieren. Für Handwerksbetriebe ist das der seltenste der vier Fälle, aber nicht undenkbar: Eine Zutrittskontrolle am Betriebstor mit Gesichtserkennung fällt in diesen Bereich, ebenso eine Software, die Kundengespräche auf Stimmung auswertet. Sobald so etwas im Raum steht, ist zusätzlich die DSGVO im Spiel — dann ist das ein eigenes Projekt mit eigener Prüfung, nicht ein Punkt auf einer Checkliste.

**Absatz 4 — Deepfakes und Texte von öffentlichem Interesse.** Wer täuschend echte Bilder, Videos oder Tonaufnahmen erzeugt oder verändert, muss das offenlegen. Und: KI-generierte Texte, die zu Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sind zu kennzeichnen. Hier steckt die wichtigste Entwarnung für Handwerksbetriebe — sie steht im nächsten Absatz.

Alle Fristen auf einen Blick

Die Übergangsfrist bis 2. Dezember 2026 stammt aus dem Digital Omnibus. Sie gilt für Systeme, die am Stichtag bereits im Einsatz waren. Wer seinen Chatbot also schon länger laufen hat, hat noch bis Anfang Dezember Zeit, den Hinweis nachzurüsten. Wer jetzt neu startet, macht es gleich richtig.

Bin ich betroffen? Der Selbstcheck

Geh die folgenden fünf Fälle durch. Trifft einer zu, hast du etwas zu tun — meistens wenig.

• **Chatbot auf der Website.** Ja, betroffen. Hinweis nötig, dass der Kunde mit einer KI schreibt.
• **KI-Telefonassistent.** Ja, betroffen. Der Assistent muss sich zu Beginn als solcher zu erkennen geben.
• **KI-generierte Angebots- oder E-Mail-Texte, die du vor dem Absenden prüfst.** Nein, keine Kennzeichnung nötig. Du verantwortest den Inhalt, und ein Angebot ist keine Veröffentlichung von öffentlichem Interesse. Das gilt auch dann, wenn die Kalkulation wie beim Angebots-Agenten automatisch entsteht — entscheidend ist die Freigabe durch einen Menschen.
• **KI-generierte Bilder in Social-Media-Posts.** Kommt darauf an. Ein erkennbar illustratives Bild ist unkritisch. Sobald es täuschend echt wirkt — etwa ein Foto einer Baustelle, die es nie gab — ist es offenzulegen.
• **KI in der Bewerbervorauswahl.** Das ist der einzige Fall aus dieser Liste, der als Hochrisiko gilt. Die Pflichten dazu greifen erst ab 2. Dezember 2027 — aber wenn du so etwas planst, ist das der Punkt, an dem du dir Beratung holst.

Wer nichts davon einsetzt, hat aus Artikel 50 nichts zu tun. Die KI-Kompetenz-Pflicht aus Artikel 4 gilt trotzdem, sobald irgendjemand im Betrieb KI beruflich nutzt — auch wenn es nur ChatGPT für E-Mail-Entwürfe ist.

Ein häufiger Irrtum dazu: Viele nehmen an, die Pflichten träfen nur den, der die KI selbst eingerichtet hat. Das stimmt nicht. Wenn deine Bürokraft auf eigene Faust ein KI-Werkzeug verwendet, um Kundenanschreiben zu formulieren, ist das trotzdem der Einsatz im Betrieb — und der Betrieb ist dafür verantwortlich. Deshalb ist die Bestandsliste aus dem nächsten Abschnitt mehr als Formalität: Viele Betriebe wissen schlicht nicht, wo überall KI im Einsatz ist.

Was jetzt konkret zu tun ist

Für einen typischen Betrieb ist das ein Nachmittag Arbeit, keine Projektwoche. Sechs Schritte, in dieser Reihenfolge.

• **Liste anlegen.** Schreib auf, wo im Betrieb KI im Einsatz ist. Website, Telefon, Posteingang, Social Media, Büro. Eine Seite reicht.
• **Kundenkontakt kennzeichnen.** Überall dort, wo KI direkt mit Kunden spricht, einen Hinweis setzen. Beim Chatbot in die Begrüßung, beim Telefonassistenten in den ersten Satz.
• **Prüfschritt festhalten.** Wenn KI Texte schreibt, die ein Mensch vor dem Rausschicken kontrolliert: halte fest, dass das so läuft. Damit begründest du, warum keine Kennzeichnung nötig ist.
• **Einweisung dokumentieren.** Wer im Betrieb mit KI arbeitet, bekommt eine Einweisung. Datum, Namen, Inhalt — eine Aktennotiz genügt.
• **Bilder ehrlich behandeln.** Täuschend echte KI-Bilder kennzeichnen oder gar nicht verwenden. Zweiteres ist meist die bessere Entscheidung.
• **Wiedervorlage auf Dezember 2026.** Bis dahin muss auch alles Bestehende umgestellt sein.

Zum zweiten Punkt noch eine Erfahrung aus der Praxis: Viele Betriebe formulieren den KI-Hinweis so vorsichtig, dass er wie eine Entschuldigung klingt. Das ist nicht nötig und wirkt schlechter als der Hinweis selbst. „Sie sprechen mit dem digitalen Assistenten von Muster Montage. Ich nehme Ihr Anliegen auf und leite es weiter.“ Das ist klar, freundlich und erfüllt die Pflicht. Kunden reagieren erfahrungsgemäß auf die Antwortzeit, nicht auf den Hinweis.

Und ein Wort zum vierten Punkt, weil er am häufigsten liegen bleibt: Die KI-Kompetenz-Pflicht verlangt kein Zertifikat und keinen externen Kurs. Sie verlangt, dass die Leute verstehen, womit sie arbeiten — was das Werkzeug kann, wo es Fehler macht, welche Daten nicht hineingehören. Eine halbe Stunde am Tisch, ein Blatt Papier mit Datum und Namen, fertig. Der Aufwand steht in keinem Verhältnis zum Ärger, wenn jemand fragt und nichts vorliegt.

Der AI Act ersetzt die DSGVO nicht — er kommt dazu

Das ist der Punkt, an dem in der Praxis die meisten Betriebe danebenliegen. Der AI Act regelt, wie KI-Systeme beschaffen sein müssen und worüber du informieren musst. Die DSGVO regelt, was mit personenbezogenen Daten passieren darf. Beide gelten gleichzeitig und unabhängig voneinander. Ein Chatbot mit korrektem KI-Hinweis kann datenschutzrechtlich trotzdem unzulässig sein.

Für einen Handwerksbetrieb ist die relevante Frage fast immer dieselbe: Wo landen die Daten? Wenn dein Telefonassistent ein Kundengespräch mitschreibt, sind das personenbezogene Daten — Name, Adresse, oft genug auch der Grund des Anrufs. Wenn dein E-Mail-Agent den Posteingang liest, gilt dasselbe. Die Frage ist nicht, ob das erlaubt ist, sondern unter welchen Bedingungen.

• **Auftragsverarbeitungsvertrag.** Wer einen KI-Dienst einsetzt, der personenbezogene Daten verarbeitet, braucht mit dem Anbieter einen Vertrag nach Artikel 28 DSGVO. Ohne den fehlt die Grundlage.
• **Serverstandort.** Bleiben die Daten in der EU? Bei US-Anbietern ist die Übermittlung an zusätzliche Bedingungen geknüpft. EU-Datenresidenz ist der deutlich einfachere Weg, und viele Anbieter bieten sie inzwischen an — man muss sie nur ausdrücklich verlangen.
• **Trainingsdaten.** Werden deine Eingaben zum Training des Modells verwendet? Bei Gratis-Zugängen zu großen Chat-Diensten ist das oft die Voreinstellung. Für Kundendaten ist das die falsche Voreinstellung.
• **Löschfristen und Aufbewahrung.** Wie lange liegt ein Gesprächsmitschnitt auf dem Server des Anbieters? Das gehört geklärt, bevor der erste Anruf durchläuft.
• **Verzeichnis der Verarbeitungstätigkeiten.** Ein neues KI-System, das personenbezogene Daten verarbeitet, gehört dort eingetragen.

Der praktische Rat: Klär diese fünf Punkte, bevor du ein KI-Werkzeug in den Kundenkontakt lässt — nicht danach. Sie sind im Vorhinein eine Frage an den Anbieter und im Nachhinein ein Problem. Und sie sind der eigentliche Grund, warum die Auswahl des Anbieters mehr Gewicht hat als die Frage, welches Modell dahintersteckt.

Was Verstöße kosten — und was davon realistisch ist

Die Zahlen, die durch die Presse gehen, stammen aus Artikel 99. Für verbotene Praktiken nach Artikel 5 sieht Absatz 3 bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor. Für Verstöße gegen die übrigen Pflichten — darunter die Transparenzpflichten — sind es nach Absatz 4 bis zu 15 Millionen Euro oder 3 Prozent.

Wichtiger als der Rahmen ist die Wahrscheinlichkeit. Zuständig ist in Österreich die KI-Servicestelle bei der RTR, die seit 1. September 2024 operativ ist und mit dem 2. August 2026 die Funktion der Marktüberwachungs- und Aufsichtsbehörde übernimmt. Je nach Bereich kommen andere Behörden dazu — die Datenschutzbehörde bei Datenschutzfragen, die FMA im Finanzbereich. Die Servicestelle ist ausdrücklich auch als erste Anlaufstelle für Fragen von Unternehmen eingerichtet, nicht nur als Strafbehörde.

Ein Betrieb, der einen Hinweis am Chatbot vergessen hat, wird nicht als Erstes mit einem Bescheid rechnen müssen. Wer sich aber trotz Aufforderung weigert, ist in einer anderen Lage. Der ehrliche Rat lautet deshalb nicht „keine Panik, das interessiert niemanden“, sondern: Es ist so wenig Aufwand, dass sich das Risiko schlicht nicht lohnt.

Wo das nicht funktioniert

Dieser Artikel gibt dir eine Orientierung, keine Rechtssicherheit. Dafür gibt es zu viele offene Punkte.

Was genau eine „Angelegenheit von öffentlichem Interesse“ ist, steht nicht abschließend fest. Bei einem Blogartikel über Fördertechnik wird man streiten können, bei einer Pressemitteilung eher nicht. Auch die Frage, wie weit die menschliche Prüfung gehen muss, damit sie als redaktionelle Verantwortung zählt, ist nicht ausjudiziert. Überfliegen ist vermutlich zu wenig, inhaltlich korrigieren vermutlich genug — aber „vermutlich“ ist hier die ehrliche Formulierung.

Dazu kommt: Die nationale Umsetzung ist in Bewegung. Zuständigkeiten und Verfahren werden noch geschärft, und der Digital Omnibus ist erst wenige Wochen in Kraft. Wer eine belastbare Einschätzung für einen konkreten Fall braucht — besonders bei Personalauswahl oder Bonitätsprüfung — holt sie sich anwaltlich, nicht aus einem Blogartikel.

Zweite Grenze: Dieser Artikel behandelt den Regelfall eines Handwerks- oder Montagebetriebs im Kundengeschäft. Sobald ein Betrieb selbst etwas entwickelt und weitergibt — eine eigene App mit KI-Funktion, ein Werkzeug, das an andere Betriebe verkauft wird — wechselt die Rolle vom Betreiber zum Anbieter. Damit ändert sich die Pflichtenlage grundlegend, und zwar nach oben. Das ist ein eigenes Thema und nichts, was man nebenbei mitmacht.

Und eine Erwartung sollte man gar nicht erst aufbauen: Es gibt keine Stelle, die dir eine verbindliche Unbedenklichkeitsbescheinigung für deinen Betrieb ausstellt. Die KI-Servicestelle informiert und berät, sie zertifiziert nicht. Was bleibt, ist ordentliche Dokumentation — die Liste der eingesetzten Systeme, die gesetzten Hinweise, die durchgeführte Einweisung. Wer das vorweisen kann, steht auch dann gut da, wenn eine Einzelfrage einmal anders beurteilt wird als gedacht.

Wie wir das bei unseren eigenen Agenten handhaben

Unsere Agenten fallen selbst unter Artikel 50. Telefonie Tim spricht mit Anrufern, Email Edith beantwortet Nachrichten — beides ist direkte Interaktion mit Menschen. Beide geben sich deshalb zu erkennen: Tim sagt zu Gesprächsbeginn, dass er ein digitaler Assistent ist, Edith weist in der Signatur auf die automatische Erstantwort hin. Das war schon so, bevor es Pflicht wurde, und es hat in der Praxis nicht geschadet. Wer schnell eine brauchbare Antwort bekommt, stört sich selten daran, woher sie kommt.

Fazit

Wenn du heute eine Sache machst, dann diese: Geh deine Website und dein Telefon durch und schau, ob irgendwo eine KI mit Kunden spricht, ohne es zu sagen. Das ist der eine Punkt aus dem gesamten AI Act, der einen normalen Handwerksbetrieb mit hoher Wahrscheinlichkeit betrifft — und er ist in einer halben Stunde erledigt.

Alles andere kannst du in Ruhe angehen. Wenn du wissen willst, wie ein KI-Telefonassistent im Betrieb tatsächlich läuft, steht das ausführlich im Österreich-Vergleich der KI-Telefonassistenten. Und wenn du unsicher bist, was in deinem Betrieb überhaupt unter die Verordnung fällt, schauen wir uns das im kostenlosen Erstgespräch gemeinsam an — ohne dass daraus ein Auftrag werden muss.